août 26, 2019
Un guet-apens pour les logiciels malveillants
Je n’ai pas vu le sixième volet de la saga Mission Impossible et je ne pense pas le voir un jour. J’ai enduré le cinquième jusqu’au bout, dans un état absolument zombifié, de retour chez moi après un vol long-courrier et une semaine difficile, uniquement parce qu’une scène a été tournée dans notre tout nouveau bureau moderne à Londres. Et c’était un Mission Impossible de trop, vraiment. Non, ce n’est pas pour moi. Slap, bang, smash, crash, pow, wow. Non, je préfère quelque chose d’un peu plus stimulant, qui fasse réfléchir et qui soit tout simplement intéressant. Après tout, j’ai déjà très peu de temps à perdre !
Je suis vraiment en train de manquer de respect à Tom Cruise et compagnie, n’est-ce pas ? Mais attendez un peu. Je dois leur donner ce qu’ils méritent pour au moins une scène assez bien faite (c’est-à-dire, qui fasse réfléchir et qui soit tout simplement intéressante !). Celle où les gentils ont besoin d’un méchant pour dénoncer leurs collègues méchants, ou quelque chose comme ça. Ils ont donc mis en place un faux environnement dans un « hôpital » avec « CNN » sur la « télévision » diffusant un reportage sur l’Armageddon atomique. Tout à fait satisfait que son manifeste apocalyptique ait été diffusé dans le monde entier, le méchant abandonne ses copains (ou était-ce un code d’accès ?) après avoir passé un accord avec ses interrogateurs. Oups. Voilà la vidéo.
Pourquoi est-ce que j’aime tant cette scène ? Parce qu’en fait, elle explique très bien l’une des méthodes de détection… de cybermenaces jamais vues auparavant ! Il existe en fait de nombreuses méthodes de ce type, elles varient selon le domaine d’application, l’efficacité, l’utilisation des ressources et d’autres paramètres (j’en parle régulièrement ici). Mais il y en a toujours une qui semble se démarquer : l’émulation (sur laquelle j’ai également beaucoup écrit ici avant).
Comme dans le film Mission Impossible, un émulateur lance l’objet étudié dans un environnement artificiel isolé, ce qui le pousse à révéler sa malveillance.
Mais cette approche présente un inconvénient sérieux : l’environnement est artificiel. L’émulateur fait de son mieux pour que cet environnement artificiel ressemble autant que faire se peut à un environnement de système d’exploitation réel, mais de plus en plus de logiciels malveillants intelligents parviennent toujours à le distinguer de la réalité. L’émulateur voit alors comment le logiciel malveillant l’a reconnu, le regroupe et améliore son émulation, et ainsi de suite dans un cycle sans fin qui ouvre régulièrement une fenêtre de vulnérabilité sur un ordinateur protégé. Le problème fondamental est qu’aucun émulateur n’a encore été le portrait craché d’un vrai système d’exploitation.
D’autre part, il existe une autre technique d’approche de l’analyse comportementale des objets suspects : l’analyse sur une machine virtuelle, sur un système d’exploitation réel. Et pourquoi pas ? Si l’émulateur n’y met jamais un terme, laissez une machine réelle, quoique virtuelle, essayer ! Ce serait l' »interrogatoire » idéal, mené dans un environnement réel et non pas artificiel, mais sans conséquences négatives réelles. En lire plus :Un guet-apens pour les logiciels malveillants
